1) Dane przetwarzane w związku z zapobieganiem i zwalczaniem przestępczości
Ustawa z 14 grudnia 2018 r. nakłada analogiczne obowiązki jak w art. 33 RODO, w tym obowiązek zgłoszenia do Prezesa UODO „bez zbędnej zwłoki”, a nie później niż w ciągu 72 godzin. Ustawa określa też terminy i zakres informacji przy przekazywaniu informacji między administratorem a podmiotem przetwarzającym (m.in. 48 godzin dla podmiotu przetwarzającego przekazującego administratorowi informacje o naruszeniu).
Dodatkowo, w podobny sposób jak w RODO (art. 34), przewidziano obowiązek zawiadamiania osób, których dane dotyczą — przy czym odstępstwo lub ograniczenie może nastąpić wyłącznie w przypadkach wskazanych w ustawie (m.in. gdy przekazanie mogłoby ujawnić informacje uzyskane w czynnościach operacyjno-rozpoznawczych lub utrudnić działania prowadzące do rozpoznawania i zwalczania przestępstw, itp.).
2) Usługi zaufania (eIDAS)
Dostawcy usług zaufania mają obowiązek niezwłocznie (nie później niż w ciągu 24 godzin od otrzymania informacji o zdarzeniu) zawiadomić organ nadzorczy o naruszeniu bezpieczeństwa lub utracie integralności, jeżeli ma to znaczący wpływ na dane osobowe przetwarzane w ramach świadczonej usługi zaufania.
3) Krajowy system cyberbezpieczeństwa (CSIRT-y) – obowiązek współpracy
W ramach krajowego systemu cyberbezpieczeństwa CSIRT-y koordynują obsługę incydentów, które mogą obejmować naruszenia ochrony danych — a przepisy przewidują ich obowiązek współpracy z Prezesem UODO. Jednocześnie, jeżeli incydent stanowi naruszenie w rozumieniu RODO (albo staje się nim w trakcie), to operatorzy usług kluczowych mogą mieć obowiązek zawiadomienia organu na podstawie art. 33 RODO niezależnie od dodatkowych wymogów wynikających z ustawy cyberbezpieczeństwa.
4) Zgłoszenia do CERT Polska przy określonych typach zdarzeń
Jeżeli naruszenie zgłaszane do Prezesa UODO dotyczy m.in. podejrzanych załączników, phishingu, szantażu lub złośliwego oprogramowania, UODO zachęca do równoległego zgłoszenia takiego zdarzenia do CERT Polska; następnie warto poinformować UODO o fakcie zgłoszenia, podając datę i numer zgłoszenia (np. w uzupełnieniu do sprawy).
